Sécuriser les clés d’API

Une clé API est une chaîne secrète qui identifie et autorise un client appelant une API.

Toute personne qui détient la clé peut agir au nom de ce client ; les clés doivent donc rester secrètes.

Traitez une clé API avec autant de soin qu'un mot de passe.

Une clé divulguée permet à un attaquant d'envoyer des requêtes, de faire grimper les coûts et d'accéder aux données, tout en se faisant passer pour un client de confiance.

Une erreur fréquente consiste à placer directement une clé dans le code :

Elle se retrouve alors dans votre dépôt et son historique, où toute personne y ayant accès peut la lire.

Conservez les clés en dehors de votre code, dans des variables d'environnement.

Le secret réside dans l'environnement, et non dans vos fichiers sources.

Ajoutez les fichiers secrets à .gitignore afin qu'ils ne soient jamais commités :

Si une clé a déjà été commitée, la supprimer plus tard ne suffit pas ; vous devez la renouveler.

N'intégrez jamais une clé secrète dans du code côté client ou du code mobile.

N'importe qui peut inspecter l'application et l'extraire. Conservez les clés secrètes sur le serveur et appelez l'API tierce depuis celui-ci.

En production, stockez les clés dans un gestionnaire de secrets dédié.

Des outils comme Vault ou un service de secrets infonuagique chiffrent les clés, contrôlent les accès et journalisent les personnes qui les consultent.

Accordez à chaque clé uniquement les autorisations dont elle a besoin.

Une clé en lecture seule ne peut pas supprimer de données, même si elle est divulguée. La limitation du périmètre réduit les dommages causés par une clé compromise.

Le renouvellement consiste à remplacer les clés selon un calendrier et immédiatement après toute fuite présumée.

Les clés à courte durée de vie réduisent la durée pendant laquelle une clé volée reste utile à un attaquant.

Renforcez les restrictions appliquées aux clés en n'autorisant que certaines adresses IP ou certains domaines.

Surveillez ensuite leur utilisation. Un trafic inattendu ou de nouveaux emplacements peuvent révéler qu'une clé a été volée.

Si une clé est divulguée, agissez rapidement :

• Révoquez immédiatement l'ancienne clé
• Émettez-en une nouvelle
• Examinez les journaux pour détecter les abus

La rapidité limite les dommages qu'un secret divulgué peut causer.

Où faut-il stocker une clé API secrète dans une application web en production ?

Protégez les clés API comme des mots de passe : gardez-les hors du code et de Git, stockez-les dans des variables d'environnement ou un gestionnaire de secrets, limitez-les au moindre privilège, renouvelez-les, restreignez et surveillez leur utilisation, puis révoquez rapidement toute clé divulguée.